Il 10 settembre 2026 Anthropic ha pubblicato il suo Threat Report più dettagliato di sempre: un documento che racconta come attori malevoli hanno provato a usare Claude fra dicembre 2025 e agosto 2026, e come quelle operazioni sono state individuate e interrotte. Non è un comunicato rassicurante, ed è proprio questo che lo rende utile: dentro ci sono numeri, nomi in codice, case study ricostruiti passo per passo. La lezione più scomoda non riguarda i modelli, ma le integrazioni: le chiavi API sono diventate il bottino, e chi costruisce prodotti sopra a un LLM eredita una superficie d’attacco che fino a due anni fa non esisteva. Ecco cosa dice il report e cosa ci si porta a casa.
In questo articolo scoprirai:
- Cosa copre il report di settembre 2026: sette categorie di abuso in otto mesi
- Le operazioni cyber girano su framework di agenti, non su chat
- Sorveglianza, frodi e distillazione: i case study più istruttivi
- Cosa cambia rispetto al Threat Report precedente di Anthropic
- Igiene di sicurezza per chi integra Claude in un prodotto
Cosa copre il report di settembre 2026: sette categorie di abuso in otto mesi
Il documento copre le attività interrotte fra dicembre 2025 e agosto 2026 e le organizza in sette aree di danno: operazioni cyber, operazioni di influenza, sorveglianza, truffe e frodi, abuso biologico, sviluppo di armi convenzionali e distillazione illecita. È la quarta uscita della serie dopo i report di marzo, agosto e novembre 2025, ed è di gran lunga la più corposa, circa 36.000 parole secondo l’analisi di CellCog, che l’ha misurata.
Un dettaglio è notizia in sé: i modelli usati negli abusi documentati sono Claude Haiku, Sonnet e Opus, mentre nessun caso ha coinvolto Claude Fable o i modelli della classe Mythos, con l’unica eccezione di un caso di distillazione illecita (Anthropic, Threat Intelligence Report, settembre 2026). Anthropic lo attribuisce ai safeguard aggiuntivi montati su Mythos, che ne riducono sensibilmente la capacità di eseguire compiti cyber offensivi, e che hanno funzionato anche come argine contro chi puntava esplicitamente ad arrivare a un modello pre-release.
Se non hai presente come è organizzata la famiglia di modelli di cui si parla, la nostra guida completa a Claude AI spiega chi fa cosa.
Le operazioni cyber girano su framework di agenti, non su chat
Il cambio di fase più netto è questo: la maggioranza delle operazioni cyber descritte non passa da domande e risposte, ma da esecuzione diretta e orchestrazione multi-agente. Il caso GTG-10007, attribuito a operatori cinesi, descrive un flusso di ricerca vulnerabilità che ha prodotto «più di una dozzina di possibili zero-day in un solo mese» su appliance di rete, più una flotta di 13 agenti di raccolta dati lanciati su job schedulati. Nel caso GTG-50014, legato ad affiliati di ShinyHunters, una pipeline su 10 worker EC2 ha scaricato e scansionato 1,8 milioni di APK a caccia di segreti, arrivando a 2.100 token Azure AD sottratti in 34 ore (Anthropic, Threat Intelligence Report).
La velocità è il vero salto. L’analisi di AiCybr segnala due episodi in cui si passa dall’accesso iniziale all’esfiltrazione massiva in poche ore, e da un token rubato al controllo amministrativo del cloud in circa tre ore. Per capire perché la struttura ad agenti cambia tutto, vale la pena partire da cosa sono e cosa sanno fare davvero gli agenti AI.
Vibe hacking: obiettivi generici, esecuzione autonoma
Anthropic usa un’espressione efficace per il metodo di GTG-50014: vibe hacking. Gli operatori non scrivono gli attacchi, danno un obiettivo generale e lasciano che il modello valuti l’ambiente, scriva ed esegua script, produca sintesi e iteri finché il compito non è chiuso. Nel caso russo GTG-20006 lo stesso schema viene applicato alla difesa avversaria: quando gli impianti venivano segnalati dai prodotti di sicurezza, l’attore usava Claude per identificare, modificare e ridistribuire sistematicamente gli artefatti rilevati. Il report lo riassume senza giri di parole: «l’AI ha ribaltato il costo sui difensori» (Threat Intelligence Report, settembre 2026), perché una detection statica può essere aggirata più in fretta di quanto venga scritta.
Sorveglianza, frodi e distillazione: i case study più istruttivi
Fuori dal perimetro cyber classico, i casi più indicativi mostrano Claude usato come forza lavoro ingegneristica. Nella categoria sorveglianza compare la piattaforma «Lakana 360» in Mali, progettata per monitorare circa 25 milioni di SIM presso i tre operatori mobili nazionali, con i checkpoint di autorizzazione giudiziaria deliberatamente rimossi dal disegno del sistema (Anadolu Ajansı, explainer sul report). Lo stesso explainer riporta i casi di armi convenzionali: un gruppo tecnico in Yemen ha lavorato a tre programmi missilistici, incluso un balistico multistadio con obiettivo di gittata oltre i 2.000 km.
Sul fronte influenza, il modello ricorrente è l’industrializzazione: un operatore commerciale francese ha alimentato circa 70 siti di fake news con 8.913 articoli in una ventina di lingue, mentre una società di Istanbul ha costruito una dashboard in Claude Code per gestire un migliaio di account X falsi mirati su 222 collegi elettorali malesi (The Guardian, 10 settembre 2026). È l’evoluzione su scala industriale di quanto avevamo già raccontato quando Claude è stato usato per orchestrare bot politici.
Distillazione illecita: quasi 300.000 richieste dietro account fasulli
Il capitolo distillazione è quello che tocca più da vicino la concorrenza fra laboratori. Nel caso legato a Moonshot AI/Kimi sono state rilevate quasi 300.000 richieste cliente instradate in dieci giorni attraverso una rete proxy di 5.380 account fraudolenti, con estrazione sistematica delle risposte di Claude per alimentare pipeline di chain-of-thought (AiCybr). Se il meccanismo non ti è chiaro, abbiamo spiegato cos’è e come funziona la distillazione AI nel caso DeepSeek-Anthropic.
Cosa cambia rispetto al Threat Report precedente di Anthropic
Il report del 2025 raccontava criminali che si appoggiavano al modello per compensare competenze che non avevano: un’operazione di estorsione con Claude Code contro almeno 17 organizzazioni in un mese, operatori nordcoreani che si mantenevano posizioni in aziende Fortune 500 con il 61% dello sviluppo frontend delegato all’AI (analisi Ironscales del report 2025). Era una storia di barriera d’ingresso che si abbassa.
Quella di oggi è diversa, e più seria: il modello operativo autonomo documentato a novembre 2025 su una singola campagna sospetta di matrice statale si è propagato a ogni classe di attore analizzata (Reuters, 10 settembre 2026). La conseguenza pratica la scrive Anthropic stessa nel report: «la sofisticazione ha smesso di essere un segnale affidabile di chi c’è dietro un’operazione». Per chi fa attribuzione o threat hunting, salta un criterio che si usava da vent’anni. Vale la pena rileggere in questa luce i tre incidenti Claude analizzati in precedenza: gli schemi erano gli stessi, la scala no.
Igiene di sicurezza per chi integra Claude in un prodotto
Qui sta la parte operativa, e riguarda chiunque abbia un agente in produzione o usi le API di Claude dentro un prodotto. Il report documenta un attore che in quattro giorni ha colpito una trentina di aziende AI riusando credenziali rubate, entrando da una sandbox di valutazione avvelenata con istruzioni malevole che ha consegnato chiavi di produzione. Gli altri tre vettori censiti: prompt injection su wrapper LiteLLM per estrarre chiavi dai container, finti installer di Claude Code che raccoglievano ogni credenziale sul dispositivo, e ricerca industrializzata di chiavi abbandonate in repository pubbliche (CellCog).
Se lavori con integrazioni via protocollo, il tema si incrocia con quanto serve davvero per usare un MCP Server in azienda.
Come proteggere le API key di Claude nel tuo prodotto
La regola madre la formula Anthropic nel Threat Intelligence Report di settembre 2026: le chiavi AI e le integrazioni con agenti vanno trattate con la stessa serietà delle credenziali di produzione, perché è così che le trattano gli attaccanti, e l’accesso ai modelli va acquistato solo da canali autorizzati, nel report compare un rivenditore fraudolento che proxava il traffico verso un altro modello mentre raccoglieva le credenziali dei clienti. I controlli concreti raccomandati sono sei: account modello gestiti come identità privilegiate, monitoraggio dell’esecuzione dei tool separato da quello dei prompt, correlazione dei comportamenti fra sessioni, token a vita breve con ruoli cloud vincolati, tracciamento della provenienza del provider, controllo dell’egress sugli agenti di coding.
Sul lato frodi, Fingerprint aggiunge un avvertimento utile: gli attacchi KYC visti nel report non falsificano l’identità, dirottano sessioni già verificate, «l’identità è vera, fraudolenti sono il dispositivo e la sessione che la presentano». Sono misure noiose, e sono esattamente quelle che in questo report avrebbero fatto la differenza.
Fonti:
- Anthropic, Threat Intelligence Report, settembre 2026
- Reuters, Anthropic interrompe campagne russe e cinesi contro i modelli Claude
- The Guardian, i dettagli sugli abusi documentati nel report
- Anadolu Ajansı, explainer sul report
- Fingerprint, i takeaway sul fronte frodi e identità
- CellCog, analisi estesa del report di settembre 2026
- Ironscales, analisi del Threat Report 2025
- AiCybr, analisi tecnica dei case study cyber
Domande frequenti
Quali modelli di Anthropic sono stati coinvolti negli abusi documentati?
Il report indica Claude Haiku, Sonnet e Opus come i modelli usati nelle operazioni interrotte fra dicembre 2025 e agosto 2026. Claude Fable e i modelli della classe Mythos non compaiono in nessun caso, con l'unica eccezione di un episodio di distillazione illecita. Anthropic lo attribuisce ai safeguard aggiuntivi montati su quella classe di modelli.
Che cos'è il vibe hacking descritto nel report?
È il metodo con cui un attaccante assegna al modello un obiettivo generico invece di scrivere l'attacco passo per passo. Il modello valuta l'ambiente, scrive ed esegue script, produce sintesi e itera finché il compito non è completato. Nel report viene associato al caso GTG-50014, legato ad affiliati di ShinyHunters.
Come si proteggono le API key di Claude in un prodotto?
Anthropic raccomanda di trattare chiavi e integrazioni con agenti come credenziali di produzione, acquistando l'accesso ai modelli solo da canali autorizzati. I sei controlli indicati sono: account modello come identità privilegiate, monitoraggio dell'esecuzione dei tool separato dai prompt, correlazione dei comportamenti fra sessioni, token a vita breve con ruoli cloud vincolati, tracciamento della provenienza del provider e controllo dell'egress sugli agenti di coding.
